Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card
Ασφάλεια, ιδιωτικότητα και τοποθεσία δεδομένων
Πώς προστατεύονται τα δεδομένα ασθενών: τοποθεσία δεδομένων στην ΕΕ, απομόνωση έργων, ζεύγη αναγνωριστικών, διαπιστευτήρια, συναίνεση, προέλευση, έλεγχος ορατός στον ασθενή και τα όρια της ιδιωτικής beta.
Τα ιατρικά δεδομένα είναι τα πιο ευαίσθητα δεδομένα που μπορεί να διατηρεί μια εφαρμογή. Αυτή η σελίδα παραθέτει πώς η πλατφόρμα Anpheros τα προστατεύει σήμερα — μόνο ό,τι έχει υλοποιηθεί — και τι εξακολουθεί να είναι περιορισμένο κατά τη διάρκεια της ιδιωτικής beta.
Τοποθεσία Δεδομένων
- Όλα τα δεδομένα της πλατφόρμας αποθηκεύονται και επεξεργάζονται στην Ευρωπαϊκή Ένωση: η υπηρεσία και οι βάσεις δεδομένων της στο Google Cloud
europe-west4(Ολλανδία), η ουρά παράδοσης webhook στοeurope-west3(Φρανκφούρτη) και η εξαγωγή του αρχείου καταγραφής πρόσβασης που δεν τροποποιείται στο BigQuery EU location. - Περιοχή δεδομένων ΗΠΑ: διαθέσιμη κατόπιν αιτήματος για πελάτες παραγωγής υπό συμφωνία συνεργάτη επιχειρηματικής δραστηριότητας HIPAA (δείτε παρακάτω). Τα δεδομένα ασθενών των ΗΠΑ στη συνέχεια δεν εγκαταλείπουν ποτέ την περιοχή των ΗΠΑ.
- Τα έγγραφα αποθηκεύονται σε έναν EU storage bucket κρυπτογραφημένο με κλειδί κρυπτογράφησης που διαχειρίζεται ο πελάτης (CMEK). Τα πρωτότυπα είναι αμετάβλητα μετά την οριστικοποίηση. Το άθροισμα ελέγχου SHA-256 και το μέγεθός τους καταγράφονται.
Απομόνωση μεταξύ εφαρμογών
- Κάθε κλειδί API ανήκει σε ένα project. Ένα project βλέπει μόνο τους ασθενείς που δημιούργησε — στο sandbox, συμπεριλαμβανομένου του δικού του αντιγράφου συνθετικών ασθενών, τον οποίο κανένα άλλο project δεν μπορεί να δει.
- Αναγνωριστικά ανά ζεύγος: κάθε project λαμβάνει το δικό του αναγνωριστικό για το ίδιο άτομο. Τα εσωτερικά αναγνωριστικά δεν φεύγουν ποτέ από την πλατφόρμα, επομένως τα αναγνωριστικά δεν μπορούν να συσχετιστούν μεταξύ εφαρμογών.
- Μια εγγραφή στην οποία δεν μπορείτε να έχετε πρόσβαση απαντά
404, ποτέ403, επομένως η ύπαρξη ενός ασθενούς δεν μπορεί να διερευνηθεί. - Το Sandbox και η παραγωγή είναι ξεχωριστές βάσεις δεδομένων. Ένα κλειδί sandbox (
sk_test_) φυσικά δεν μπορεί να έχει πρόσβαση σε πραγματικούς ασθενείς. - Με τη συγκατάθεση του ασθενούς, ένας οργανισμός διαβάζει ολόκληρη την εγγραφή, συμπεριλαμβανομένων όσων έγραψαν άλλοι οργανισμοί, αλλά μπορεί να αλλάξει ή να διαγράψει μόνο ό,τι έγραψε ο ίδιος.
Διαπιστευτήρια
- Τα κλειδιά API εμφανίζονται μία φορά και αποθηκεύονται μόνο ως κατακερματισμός SHA-256. Τα κλειδιά έχουν πεδία
read/writeκαι δεν διασχίζουν ποτέ το περιβάλλον τους. - OAuth 2.1 με υποχρεωτικό PKCE (S256). Το
redirect_uriπρέπει να καταχωρηθεί ακριβώς. Τα διακριτικά πρόσβασης διαρκούν 30 λεπτά, τα διακριτικά ανανέωσης 30 ημέρες και περιστρέφονται σε κάθε χρήση. - Ανίχνευση επαναχρησιμοποίησης διακριτικού ανανέωσης: η παρουσίαση ενός διακριτικού ανανέωσης που έχει ήδη χρησιμοποιηθεί ανακαλεί ολόκληρη την αλυσίδα διακριτικών.
- Οι αποκρίσεις διακριτικών φέρουν
Cache-Control: no-store. Τα διακριτικά OpenID Connectid_tokenυπογράφονται με RS256. Τα δημόσια κλειδιά δημοσιεύονται στο/oauth/jwks.
Συγκατάθεση, προέλευση και έλεγχος
- Ένας ασθενής χορηγεί σε μια εφαρμογή πρόσβαση σε μια φιλοξενούμενη σελίδα συγκατάθεσης, επιλέγοντας τον φάκελο και τη διάρκεια (30, 90, 180 ή 365 ημέρες). Τα πεδία (scopes) είναι ανά τύπο πόρου και ενέργεια, προαιρετικά φιλτραρισμένα ανά κατηγορία. Κάθε χορήγηση αντικατοπτρίζεται ως πόρος FHIR
Consent. - Η ανάκληση τίθεται σε ισχύ στην επόμενη αίτηση· η εφαρμογή δεν μπορεί να ανανεωθεί.
- Κάθε εγγραφή παράγει έναν πόρο
Provenance: ποιος την έγραψε (ασθενής, επαγγελματίας υγείας, συσκευή, εισαγωγή ή AI), για ποιον οργανισμό, από ποιο σύστημα πηγής. - Κάθε ανάγνωση καταγράφεται και είναι ορατή στον ασθενή, συμπεριλαμβανομένων των αναγνώσεων που έγιναν με το δικό του κλειδί API του έργου, και συμπεριλαμβανομένου του πλαισίου που δημιουργήθηκε για μοντέλα AI.
Ασφάλεια μεταφοράς και ιστού
- Μόνο HTTPS, με HTTP Strict Transport Security. Οι αποκρίσεις του API φέρουν περιοριστική Content-Security-Policy,
X-Content-Type-Options: nosniff,X-Frame-Options: DENYκαι αυστηρή πολιτική παραπομπής (referrer policy). - Οι παραδόσεις Webhook υπογράφονται με HMAC-SHA256 πάνω στο timestamp και το σώμα (body). Οι δέκτες πρέπει να απορρίπτουν υπογραφές παλαιότερες των 5 λεπτών. Τα συμβάντα (events) φέρουν αναγνωριστικά (ids) και εκδόσεις (versions), ποτέ κλινικό περιεχόμενο.
- Όρια ρυθμού (Rate limits): 600 αιτήματα ανά λεπτό ανά διαπιστευτήριο και ανά IP. Σώματα JSON έως 2 MiB. Έγγραφα έως 25 MiB.
Μηχανές αναζήτησης και ανιχνευτές AI
Οι δημόσιες σελίδες (anpheros.com, η παρουσίαση της πλατφόρμας και αυτή η τεκμηρίωση) είναι ανοιχτές σε μηχανές αναζήτησης και ανιχνευτές AI. Το API, το dashboard, οι σελίδες OAuth και συναίνεσης και η εφαρμογή ασθενούς (app.anpheros.com) εξαιρούνται με τους κανόνες noindex και robots.txt. καμία από αυτές δεν επιστρέφει δεδομένα ασθενούς χωρίς έλεγχο ταυτότητας.
HIPAA (Κλινικές ΗΠΑ)
Για μια κλινική στις Ηνωμένες Πολιτείες, η Anpheros είναι ένας Συνεργάτης Επιχείρησης (Business Associate). Αυτά που ισχύουν, αντιστοιχισμένα με τον Κανόνα Ασφάλειας HIPAA (HIPAA Security Rule):
| Διασφάλιση | Πώς το κάνει η Anpheros |
|---|---|
| Ανατεθειμένη ευθύνη, ανάλυση κινδύνου, γραπτές πολιτικές (§164.308) | Ένας ορισμένος Υπεύθυνος Ασφάλειας (Security Officer); ετήσια ανάλυση κινδύνου; δέκα γραπτές πολιτικές (πρόσβαση, κρυπτογράφηση, καταγραφή, αντιμετώπιση περιστατικών, ειδοποίηση παραβίασης, διατήρηση και αντίγραφα ασφαλείας, εκπαίδευση, συσκευές, πρόσβαση έκτακτης ανάγκης, προμηθευτές), διατηρούνται για έξι χρόνια |
| Μοναδική αναγνώριση χρήστη, έλεγχος πρόσβασης (§164.312(a)) | Κάθε κλειδί, token και άτομο έχει τη δική του ταυτότητα· τα έργα βλέπουν μόνο τους δικούς τους ασθενείς· οι εμβέλειες συναίνεσης επιβάλλονται σε κάθε ανάγνωση· απαιτείται MFA ή SSO για οργανισμούς με έργο παραγωγής· αυτόματη αποσύνδεση στον πίνακα ελέγχου |
| Έλεγχοι ελέγχου (Audit controls) (§164.312(b)) | Κάθε ανάγνωση και εγγραφή καταγράφεται, hash-chained, εξάγεται ως append-only· ορατό στον ασθενή |
| Ακεραιότητα (Integrity) (§164.312(c)) | Πόροι με εκδόσεις (Versioned resources), προέλευση (provenance) σε κάθε εγγραφή, αμετάβλητα έγγραφα με SHA-256 |
| Ασφάλεια μετάδοσης (Transmission security) (§164.312(e)) | TLS 1.2+, HSTS, υπογεγραμμένα webhooks, παραδόσεις μόνο μέσω HTTPS |
| Κρυπτογράφηση κατά την αποθήκευση (Encryption at rest) | Κρυπτογραφημένη βάση δεδομένων και αντίγραφα ασφαλείας· έγγραφα υπό κλειδί διαχειριζόμενο από τον πελάτη |
| Σχέδιο αντιμετώπισης έκτακτης ανάγκης (Contingency plan) (§164.308(a)(7)) | Καθημερινά αντίγραφα ασφαλείας, ανάκτηση σημείου χρόνου (point-in-time recovery), άσκηση επαναφοράς κάθε 90 ημέρες με καταγεγραμμένους χρόνους |
| Ειδοποίηση παραβίασης (Breach notification) (§164.410) | Η Καλυπτόμενη Οντότητα (Covered Entity) ειδοποιείται εντός 5 εργάσιμων ημερών από το BAA μας (60 ημέρες από το νόμο) |
| Αλυσίδα συνεργατών επιχείρησης (Business associate chain) (§164.308(b)) | Google Cloud υπό το BAA του· η λίστα των υποεπεξεργαστών βρίσκεται στο παράρτημα του BAA |
Μια Συμφωνία Συνεργάτη Επιχείρησης (Business Associate Agreement) και μια περιοχή δεδομένων ΗΠΑ (US data region) είναι διαθέσιμες κατόπιν αιτήματος για πελάτες παραγωγής (γράψτε στο [email protected])· η παραγωγή για δεδομένα ασθενών ΗΠΑ ανοίγει μετά την υπογραφή του BAA. Το sandbox περιέχει μόνο συνθετικούς ασθενείς, οπότε οι προγραμματιστές στις ΗΠΑ μπορούν να αναπτύξουν σήμερα χωρίς BAA. Η Anpheros δεν είναι πιστοποιημένη έναντι SOC 2 ή HITRUST· έχει προγραμματιστεί ένας έλεγχος SOC 2 Type II όταν ένας πελάτης νοσοκομείου το απαιτήσει.
Τρέχοντα όρια (ιδιωτική beta)
- Φιλοξενία σε μία ζώνη χωρίς αυτόματη ανάληψη ευθύνης (failover). Δεν υπάρχει ακόμη συμβατική συμφωνία επιπέδου υπηρεσιών (SLA).
- Κλειδιά παραγωγής εκδίδονται σε επαληθευμένους οργανισμούς με υπογεγραμμένη συμφωνία επεξεργασίας δεδομένων. Οι συνεργάτες beta ξεκινούν με συνθετικά δεδομένα.
- Η εκκίνηση SMART EHR και η παράμετρος OpenID
nonceδεν υποστηρίζονται ακόμη.
Σχετικά
- GDPR και δεδομένα υγείας για προγραμματιστές
- Προέλευση ιατρικών δεδομένων εξηγείται: ποιος έγραψε τι, και πώς να το καταγράψετε
- Μοντέλο συναίνεσης και πρόσβασης
- Έλεγχος ταυτότητας και OAuth
- Όρια και όρια ρυθμού
- Αξιοπιστία, κατάσταση και περιστατικά: παρακολούθηση, αντίγραφα ασφαλείας, επικοινωνία περιστατικών
- Αρχιτεκτονική
- Ο Ευρωπαϊκός Χώρος Δεδομένων Υγείας (EHDS) για προγραμματιστές
Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card